Wyndham का डेटा लीक: App में छिपा था पासवर्ड
मूल शीर्षक: Hotel giant Wyndham exposed customer data after app security lapse
यह क्यों महत्वपूर्ण है
Hardcoded credentials की यह समस्या लाखों होटल ग्राहकों की पहचान और login सुरक्षा को सीधे खतरे में डालती है।
होटल चेन Wyndham के Android App के source code में एक पासवर्ड मिला, जिससे Salesforce पर होस्ट आंतरिक database तक पहुँच संभव थी। इसमें करोड़ों ग्राहकों के नाम, ईमेल, member number और JWT login token शामिल थे।
सुरक्षा शोधकर्ता Robert Wiggins (What Security) ने TechCrunch को बताया कि उन्होंने Wyndham के Android App के source code में एक hardcoded पासवर्ड खोजा। यह पासवर्ड tech कंपनी Salesforce पर होस्ट एक आंतरिक database को खोलता था, जिसमें ग्राहकों के नाम, ईमेल पते, Wyndham member number और JWT (JSON Web Token) login token संग्रहीत थे। ये token ग्राहकों को बार-बार password डाले बिना logged-in रखते हैं। Database में Wyndham की आंतरिक फाइलें और दस्तावेज़ भी थे।
Wiggins के अनुसार database में लाखों entries थीं, लेकिन वे सटीक संख्या नहीं बता सके। Wyndham के 12.9 करोड़ enrolled rewards सदस्य हैं। Wiggins ने यह भी बताया कि Wyndham के पास security flaw रिपोर्ट करने का कोई तंत्र नहीं था, इसलिए उन्होंने TechCrunch की मदद ली।
TechCrunch द्वारा Wyndham की cybersecurity टीम को सूचित करने के तुरंत बाद वह credential रद्द कर दिया गया। Wyndham के प्रवक्ता ने कहा, "हमारी टीम ने समस्या को दूर कर लिया है। हमारे पास किसी अनधिकृत पहुँच का कोई प्रमाण नहीं है।" हालाँकि कंपनी ने यह नहीं बताया कि server logs से यह जाँचा जा सकता है या नहीं कि पहले किसी ने access किया था। कंपनी ने ग्राहकों को सूचित करने या SEC को disclosure देने की कोई योजना भी नहीं बताई। पासवर्ड कितने समय से App में था, यह भी अज्ञात है। Wiggins के लिए यह दो हफ्तों में दूसरी ऐसी खोज है — इससे पहले वे Applebee's App में भी hardcoded credential ढूँढ चुके हैं।